(57)【要約】  ネットワーク通信システムは、ネットワーク（７）、認証サーバ（５）のシステム及び端末（１）を備えている。認証サーバのシステムは、端末（１）からの認証要求を受けて所定の処理を実行する複数台のサーバ（５０１，５０２）を備え、端末（１）は、サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部（４３）と、サーバに対する認証要求時にサーバにトラフィック異常が生じているか否かを判断する異常判定部（２０４）と、トラフィック異常が生じていると判断した場合、接続順に従って次のサーバへ接続を変更する優先順位設定部（２０３）とを備えてなる。サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、サーバでの認証処理を可及的に実行する。
2011048933.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続されたサーバシステムと、前記ネットワークに接続され、前記サーバシステムに対して所定の接続権限が付与された端末とを備えたネットワーク通信システムにおいて、
前記サーバシステムは、それぞれ異なるＩＰアドレスが設定され、前記端末１からの接続要求を受けて所定の処理を実行する複数台のサーバを備え、
前記端末は、前記サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部と、前記サーバに対する接続要求時に当該サーバにトラフィック異常が生じているか否かを判断する異常判定手段と、前記トラフィック異常が生じていると判断した場合、前記接続順に従って次のサーバへ接続を変更する優先順位設定手段とを備えてなることを特徴とするネットワーク通信システム。
【請求項２】
前記複数台のサーバは、前記ネットワークに接続された複数台の下位サーバと、前記下位サーバを介して前記ネットワークに接続された少なくとも１台以上の上位サーバとを備え、
前記下位サーバは、前記端末からの認証要求を受けて、前記上位サーバとの間の情報の授受を中継する中継手段を備え、
前記接続先リスト記憶部は、前記下位サーバとの間の、予め設定された優先的な接続順の情報が記憶されたものであり、前記異常判定手段は、前記下位サーバに対する認証要求時に当該下位サーバにトラフィック異常が生じているか否かを判断するものであり、前記優先順位設定手段は、前記トラフィック異常が生じていると判断した場合、前記優先順位に従って次の下位サーバへ接続を変更するものであることを特徴とする請求項１記載のネットワーク通信システム。
【請求項３】
前記上位サーバは、少なくとも複数台であり、前記各上位サーバは、複数台ずつに区分けされた下位サーバ群の１つに接続されていることを特徴とする請求項２に記載のネットワーク通信システム。
【請求項４】
前記異常判定手段は、前記認証要求に対する応答信号が所定時間受信されない場合、トラフィック異常と判定することを特徴とする請求項１〜３のいずれかに記載のネットワーク通信システム。
【請求項５】
前記下位サーバは、トラフィック異常を検知すると、トラフィック異常を示す報知信号を前記認証要求に対して応答する異常報知手段を備え、前記異常判定手段は、前記トラフィック異常を示す報知信号を受信した場合、トラフィック異常と判定することを特徴とする請求項２又は３に記載のネットワーク通信システム。
【請求項６】
前記上位サーバは、接続されている下位サーバに前記トラフィック異常が発生した場合、当該下位サーバとの間の回線を遮断する回線遮断手段を備えたことを特徴とする請求項２〜５のいずれかに記載のネットワーク通信システム。
【請求項７】
前記端末は、所有者の情報が記憶されている外部記憶媒体が装着されると、前記外部記憶媒体に対する認証要球を発する認証要求処理手段を備えたことを特徴とする請求項１〜６のいずれかに記載のネットワーク通信システム。
【請求項８】
ネットワークに接続され、前記ネットワークを介して、所定の接続権限が付与された端末と通信可能なサーバシステムにおいて、
前記ネットワークに接続された複数台の下位サーバと、
前記下位サーバを介して前記ネットワークに接続された少なくとも１台以上の上位サーバとを備え、
前記下位サーバは、前記端末からの接続要求を受けて、前記上位サーバとの間の情報の授受を中継する中継手段を備えたことを特徴とするサーバシステム。
【請求項９】
ネットワークに接続された複数台のサーバのそれぞれと通信可能な、所定の接続権限が付与された端末において、
前記サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部と、
前記サーバに対する接続要求時に当該サーバにトラフィック異常が生じているか否かを判断する異常判定手段と、
前記トラフィック異常が生じていると判断した場合、前記接続順に従って次のサーバへ接続を変更する優先順位設定手段とを備えてなることを特徴とする端末。
【請求項１０】
所有者の情報が記憶されている外部記憶媒体が装着されると、前記外部記憶媒体に対する認証要球を発する認証要求処理手段を備えたことを特徴とする請求項９に記載の端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続されたサーバと、前記ネットワークに接続され、前記サーバに対して所定の接続権限が付与された端末とを備えたネットワーク通信システム、サーバシステム及び前記端末に関する。
【背景技術】
【０００２】
近年、インターネットを始めとした通信ネットワークの急激な進展により、種々の商取引等のサービスが端末から通信ネットワークを介して行われるようになってきている。同様に、行政機関等に対する行政手続等のサービスも端末から通信ネットワークを介して行われるようになってきている。かかるサービスの実行に際し、ネットワークを介して授受される情報には決済情報、取引情報の他、個人情報等の重要情報が含まれていることから、サービスを受ける者乃至は端末に対する認証機能を備え、なりすまし等の侵入を阻止して、適正な情報通信処理が実行されるようにしている。【０００３】
また、認証処理をサーバ等で実行する場合、当該サーバがＤＯＳ／ＤＤＯＳ（DistributedDenial of Service）攻撃の対象となる場合がある。サーバがＤＯＳ／ＤＤＯＳ攻撃、すなわちＤＯＳ攻撃やＤＤＯＳ攻撃を受けると、サーバの処理負担が増大するなどして、正当な端末からのサービス要求に円滑に応えられないといった問題がある。ＤＯＳ／ＤＤＯＳ攻撃は、大別して、ｓｙｎ・ｆｌｏｏｄ攻撃、ＴＣＰ・Ｃｏｎｎｅｃｔｉｏｎ・ｆｌｏｏｄ攻撃、及びＨＴＴＰ・ＧＥＴ・ｆｌｏｏｄ攻撃が知られている。ｓｙｎ・ｆｌｏｏｄ攻撃とは、ＴＣＰ接続の呼を意味するｓｙｎパケットを攻撃先に大量に送付して、攻撃先のサーバにＴＣＰ接続の準備処理を大量に促す、すなわち大量の負荷を与えるものである。ＴＣＰ・Ｃｏｎｎｅｃｔｉｏｎ・ｆｌｏｏｄ攻撃とは、大量のＴＣＰ接続のみを行い、実際には何も通信を行わないことで、攻撃先のサーバにそのＴＣＰ接続を維持するだけの資源の浪費を誘発させるものである。ＨＴＴＰ・ＧＥＴ・ｆｌｏｏｄ攻撃とは、実際のＨＴＴＰ・ＧＥＴコマンドを送付することで、攻撃先のサーバにコンテンツの返送処理を大量に実行させてサーバ自身に負荷を与えると共に、サーバが接続されている回線のインターネット側に向かう方向の帯域を無駄に消費させるものである。【０００４】
特許文献１には、パケットを大量に送りつけることで、特定のサーバまたはネットワークを使用不能にする攻撃を検知するための方法として、サーバなどの防御対象の近くに位置するノードが、インタフェース毎のキューを監視し、多量のキュー溢れが発生した場合にこれを攻撃として検知する方法、防御対象の近くに位置するノードが、フロー毎のパケット量が予め指定したトラヒック量の閾値に比して異常に多い状態が継続した際に攻撃として検知する方法、ノードが宛先ネットワークアドレス別のトラヒック量を観測し、それらの中に異常が発生した場合にこれを攻撃として検知する方法が記載されている。【０００５】
特許文献２には、不正アクセス対策が実施中であるものとその対策が実施されていないものとを区別可能に画面に表示して、システム管理者にＩＤＳ（Intrusion Detection System）による不正アクセス検知の誤動作に起因する不正アクセス対策の実施、非実施の誤りに対する指示を適切に行わせるようにすることによって、正規利用者が受ける影響を抑制する不正アクセス着信拒否技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００５−３２３１８３号公報
【特許文献２】特開２０１０−３３５９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１は、特定のサーバに対する攻撃の有無を検知することは記載されているが、かかる攻撃中に正規利用者に対する通信の確保を如何にして実現するかに関してまでは記載されていない。また、特許文献２には、不正アクセスを誤検知した場合に正規利用者が被る影響を抑制するべく、システム管理者に対策指示を促すための監視画面を表示する技術が記載されているが、不正アクセスの有無が正常に検知されていた場合に、正規利用者が可及的に不利益を被らないように手当てする技術は記載されていない。【０００８】
本発明の目的は、サーバが攻撃を受けている間も、正規利用者によるサーバの利用確保を可及的に実現するネットワーク通信システム、サーバシステム及び端末を提供することにある。
【課題を解決するための手段】
【０００９】
本発明に係るネットワーク通信システムは、ネットワークに接続されたサーバシステムと、前記ネットワークに接続され、前記サーバシステムに対して所定の接続権限が付与された端末とを備えたネットワーク通信システムにおいて、前記サーバシステムは、それぞれ異なるＩＰアドレスが設定され、前記端末１からの接続要求を受けて所定の認証処理を実行する複数台のサーバを備え、前記端末は、前記サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部と、前記サーバに対する接続要求時に当該サーバにトラフィック異常が生じているか否かを判断する異常判定手段と、前記トラフィック異常が生じていると判断した場合、前記接続順に従って次のサーバへ接続を変更する優先順位設定手段とを備えてなることを特徴とするものである。【００１０】
この発明によれば、端末はネットワークを介してサーバシステムと接続が可能である。そして、端末は、異常判定手段によって、サーバに対する接続要求、主には認証要求の時に当該サーバにトラフィック異常が生じているか否かの判断を行い、前記トラフィック異常が生じていると判断した場合、優先順位設定手段によって、接続先リスト記憶部に記憶されている接続順に従って次のサーバへ接続を変更する。従って、サーバがネットワークを介して不正なアタック、例えばＤＯＳやＤＤＯＳを受けて、異常なトラフィック状態にあると判断されると、認証先のサーバを当該サーバから予め設定された接続順に従って他のサーバに順番に切り替えられるので、適正な接続が、主には認証が可及的に可能となる。
【発明の効果】
【００１１】
本発明によれば、サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、正規利用者によるサーバの利用確保を可及的に実現する。
【図面の簡単な説明】
【００１２】
【図１】本発明に係るネットワーク通信システムの一実施形態を示す概略構成図である。
【図２】端末の端末処理部、特定ＡＰ処理部、及びＵＳＢメモリのハードウエア構成図の一例を示すものである。
【図３】ネットワーク上でのシステム化された認証サーバの配置の第１実施形態を示す図である。
【図４】下位のサーバの一例を示すブロック構成図である。
【図５】上位のサーバの一例を示すブロック構成図である。
【図６】端末のＣＰＵによって実行される認証要求処理の手順の一例を示すフローチャートである。
【図７】ネットワーク上でのシステム化された認証サーバの配置の他の実施形態を示す図である。
【図８】図７に示すシステム化された認証サーバに対して、端末１のＣＰＵによって実行される認証サーバ決定処理の手順の一例を示すフローチャートである。
【図９】図７に示す１層目のサーバ５１１のＣＰＵによって実行されるサーバ間情報授受の手順の一例を示すフローチャートである。
【発明を実施するための形態】
【００１３】
図１は、本発明に係るネットワーク通信システムの一実施形態を示す概略構成図である。図１に示すネットワーク通信システムは、例えば、会員である個人や各種団体を含む法人に設置乃至は所持（所有）される端末１と、端末１を使用する会員乃至は端末１自体の認証（乃至は証明）を行う認証サーバ５と、認証サーバ５で認証された端末１との間で種々のサービスを提供するための情報を送信するサービス提供サーバ８とを備える。
【００１４】
端末１は、ＣＰＵ（Central Processing Unit）を内蔵するパーソナルコンピュータ等を備えている。端末１は、一般的な文書や図形の作成ソフトウエアを利用しての情報の作成、加工、記憶、更に通信用のソフトウエアを利用しての情報の送受信等を実行するための汎用アプリケーションソフトウエア（Application software；以下、汎用ＡＰという）を実行する端末処理部２と、後述する特定のアプリケーションソフトウエア（Application software；以下、特定ＡＰという）を実行する特定ＡＰ処理部３とを備えている。
【００１５】
より具体的には、端末１の特定ＡＰ処理部３は、サービス提供サーバ８との間で、例えば、秘密情報を作成、保管管理する、例えば公的乃至は準公的（民間含む）な機関である団体組織（国、自治体、協会、組合等含む）との間における情報通信に適用することができる。団体組織外にある端末との間における情報通信としては、例えば住民票等の各種の証明書の発行とか、その申請書の発送などが想定される。
【００１６】
また、特定ＡＰ処理部３の他の適用例として、サービス提供サーバ８を利用して、商品やサービスの売買、見積もり乃至は請求、入出金に関する各書類の作成乃至は通信を行う処理が想定される。すなわち、端末１は、一般的な商取引における決済、例えば業者や店舗からの請求書の発行、受領や、購買者側から請求書発行元の契約金融機関の口座への入金（すなわち支払い）指示書、その受領書の発行の他、電子決済の如何を問わず種々の電子書面での通信を、認証サーバ５で認証を受けたことを条件に、サービス提供サーバ８を介して可能にするものである。端末１は、各種書類をテキスト形式の、またバイナリー形式の電子ファイルとして作成可能である。元の電子ファイルは、例えばサービス提供サーバ８に保管されており、ここから受け取ることが可能である。法人のうち金融機関の端末１には、個人や法人の端末１からの金融的な決済書面に従った決済指令処理（金融機関間での決済処理の指令等）を行う特別アプリケーションソフトウエアもインストールされている。
【００１７】
また、端末１は、携行可能な記録媒体、例えばＵＳＢ（Universal Serial Bus）メモリ４が装着（接続）可能なポートＰを有する。記録媒体としては、ＵＳＢの他、ＩＥＥＥ１３９４ポートを使用したスティック状のハードウエア、ＰＣＩ（Peripheral Component Interconnect）、その他、少なくとも情報記憶領域を有する外部デバイスであればよく、さらには内部の記憶情報を端末１側に転送する等のための所定の処理が実行可能なＣＰＵを内蔵するものであることが望ましい。
【００１８】
認証サーバ５は、ＵＳＢメモリ４を所有する会員に関する種々の情報、例えば会員の氏名、名称、メールアドレス、住所等の会員情報や認証のための照合情報等を会員単位で記憶する会員情報記憶部５Ａを備えており、認証処理時に活用するようにしている。これらの情報の全部又は一部は、同様にＵＳＢメモリ４にも記憶されている。本実施形態では、認証サーバ５は、図３の一実施形態に示すように、複数のサーバを備えた認証サーバシステムとして構成されている。また、履歴記憶部９は、各会員間でファイル送受信された、すなわちサービスの提供を受けた度に、その履歴やファイル類等を管理用に会員単位で記憶するものである。なお、認証サーバ５については、図３、図４で後述する。
【００１９】
図１において、端末１はプロバイダ（ＩＳＰ）６を介してネットワーク７に接続されている。ＩＳＰ６には、複数の端末１が接続されている。なお、図１には示されていないが、ＩＳＰ６には、各種の情報を提供するＷｅｂサイトを有するサーバも、適宜の数だけ接続されている。また、ＩＳＰ６に接続される端末１には、特定ＡＰ処理部３がインストールされている端末１と、特定ＡＰ処理部３がインストールされていない通常の端末１’とが存在する。特定ＡＰ処理部３は、ＵＳＢメモリ４が端末１に装着され、ＵＳＢメモリ４から認証のための所与の情報を読み出す等して認証サーバ５へ送信し、認証成功に従って特定アプリケーションソフトウエアの実行を制御する。本システムは、ハードウエア的にはインターネットのネットワークを用いる。すなわち端末１はインターネットに接続される一方、後述するように、インターネットとの間ではソフトウエア的にセキュリティが確保された特定ＡＰが実行許可されるようにしている。すなわち、ソフトウエア的に区別されたネットワークという観点で、インターネットとは異なる専用ネットワークとして扱い得る。これにより、新たなインフラを必要としないシステムの構築が可能で、かつ各端末１は必要に応じてインターネットを経由して、周知のように他のパーソナルコンピュータとの間で通常の情報通信、及びブラウザ機能を活用してのインターネット上のＷｅｂサイトの検索、閲覧及び情報の取得が可能である。
【００２０】
図２は、端末１の端末処理部２、特定ＡＰ処理部３、及びＵＳＢメモリ４のハードウエア構成図の一例を示すものである。図２において、端末１は、ＣＰＵを有する制御部１０を備えている。制御部１０には、ＲＯＭ（Read Only Memory）１１とＲＡＭ（Random Access Memory）１２とが接続されている。制御部１０は、後述するプログラムが実行されることによって、前述した端末処理部２及び特定ＡＰ処理部３として機能する。また、制御部１０には、キーボードやマウス等からなる操作部１３、及びＣＲＴ、液晶又はプラズマディスプレイ等からなり、画像を表示する表示部１４が接続されている。
【００２１】
ＲＯＭ１１は、ＯＳ等のプログラムが記憶されるＯＳ等記憶部１１１、及び端末１を識別するための識別情報が記憶される識別情報記憶部１１２を備えている。ＲＡＭ１２は、端末１が文書作成ソフトウエアやブラウザ等の一般的な情報処理を実行する上で必要なソフトウエアである汎用ＡＰが記憶される汎用ＡＰ記憶部１２１を備えている。なお、ＲＡＭ１２は、公知のように、操作部１を用いて作成したファイル、その他処理した内容を格納する記憶領域を有している。また、この記憶領域に一旦格納された内容のうち、保存が必要なものは、公知のように保存指示を受けることで図外のハードディスク等に保存されるようになっている。
【００２２】
制御部１０の端末処理部２は、ＲＡＭ１２に読み込まれたプログラムがＣＰＵによって実行されることによって、操作部１３からの操作内容を受け付けて各種の汎用ＡＰに従った処理を実行する汎用ＡＰ実行処理部２０１、後述するようにＵＳＢメモリ４が端末１に装着されたことを受けて、認証サーバ５に対して認証を要求する認証要求処理部２０２、複数設けられている認証サーバ５のいずれに対して認証を求めるかを設定する優先順位設定部２０３、接続された認証サーバ５が現在ＤＯＳ／ＤＤＯＳ攻撃を受けている等の異常が発生しているか否かを判定する異常判定部２０４、及びインターネットを介して他の端末１，１’やＷｅｂサーバとの間で情報の授受を行う通信処理部２０５として機能する。制御部１０の特定ＡＰ処理部３は、ＲＡＭ１２に読み込まれたプログラムがＣＰＵによって実行されることによって、操作部１３からの操作内容を受け付けて各種の特定ＡＰに従った処理を実行する特定ＡＰ実行処理部３０１、及び認証成功後の認証サーバ５、サービス提供サーバ８、履歴記憶部９や他の端末１との間で特定ＡＰの通信機能を用いての通信を行う通信処理部３０２として機能する。
【００２３】
ＵＳＢメモリ４は、自己を識別するため情報を記憶する識別情報記憶部４１、特定ＡＰを記憶する特定ＡＰ記憶部４２、及び後述するシステム化された認証サーバに対する接続先の順番を示すサーバ（アドレス）のリストを記録する接続先リスト記憶部４３を備えている。ＵＳＢメモリ４は、端末１に装着された場合に、端末１からのセッション信号に応答して、端末１に対して、識別情報記憶部４１から識別情報が読み出され、また接続先リスト記憶部４３からアドレスリストが読み出されて認証処理に供される。また特定ＡＰ記憶部４２から特定ＡＰが読み出される。特定ＡＰが端末１のＲＡＭ１２に読み込まれることで、認証成功後に特定ＡＰ実行処理部３０１によって、前述した電子商取引サービス、行政サービス等の処理のために所要の特定ＡＰが実行される。
【００２４】
図３は、ネットワーク上でのシステム化された認証サーバの配置の第１実施形態を示す図である。システム化された認証サーバは、下位と上位の２層からなる階層構造を有する。階層構造は、ツリー状をなし、ネットワーク７に直接接続された認証処理の前段部としてのＦＥＰサーバである下位のサーバ５０１と、その上位の認証用としてのサーバ５０２とからなる。各サーバ５０２は、会員情報記憶部５Ａの情報を読み出し可能にされている。本実施形態では、１台のサーバ５０２に対して複数台のサーバ５０１が対応するようにツリー状に接続されている。サーバ５０１と５０２との対応関係は、適宜設定可能である。例えば、サーバ５０２とサーバ５０１との対応比は、２対１、３対１あるいはそれ以上の比率であってもよい。
【００２５】
本実施形態では、端末１からのアクセスは、１層目のサーバ５０１のいずれかに対して行われ、２層目のサーバ５０２に直接アクセスすることはできない構造としている。これは、例えば、１層目のサーバ５０１にはそれぞれグローバルＩＰアドレスによってネットワーク７を介して端末１から指定可能にしている。一方、上位であるサーバ５０２はＭＡＣアドレスによってサーバ５０１のみと接続可能にされている。この結果、ネットワーク７から直接、上位のサーバ５０２がアタックされないようにしている。なお、サーバ５０１とサーバ５０２とをＬＡＮ（Local Area Network）で接続した構成としてもよい。
【００２６】
会員の端末１がいずれのサーバ５０１と接続されるかは、各サーバ５０１へのトラフィック量、主にはＤＯＳ／ＤＤＯＳの数量を考慮して、各会員のＵＳＢメモリ４との間で、接続先リスト記憶部４３によって予め優先順位として設定されている。この場合に、優先順位１番のグローバルＩＰアドレスを設定しておき、それ以降は、必要に応じて優先順位に従ってサーバ５０１のグローバルＩＰアドレスが変更されるようにしておけばよい。このように、下位に多数のサーバ５０１を採用することで、耐アタック性の向上、すなわちアタックに対する負荷分散を図ることができるとともに、接続先となるサーバ５０１を適宜変更可能にすることで認証要求に対しても可及的に対応できるようにしている。
【００２７】
図４は、下位のサーバの一例を示すブロック構成図である。下位のサーバ５０１は、サービスの提供を受けるための前提としての端末１からの認証要求を受け付けたり、認証処理のための上位のサーバ５０２と端末１間の情報の授受を中継したりする受付処理部５０１１と、外部からインターネットを経由して行われる不正アクセスや、ＤＯＳ／ＤＤＯＳ攻撃等に対するトラフィックの計測処理、あるいは好ましくは、例えばアタック抑制処理とか送信元追跡処理等を実行する異常処理部５０１２とを備えている。
【００２８】
図５は、上位のサーバの一例を示すブロック構成図である。上位のサーバ５０２は、端末１から認証要求に際して送信されている所定の情報と会員情報記憶部５Ａに記憶されている会員その他に関する情報とを照合するなどして認証要求に対する適否判断の処理を行う認証処理部５０２１、及び接続されているサーバ５０１へのアタック数量が増大して被害を被る虞があると判断した場合に、下位のサーバ５０１との接続を所定期間遮断する回線遮断処理部５０２２を備えている。認証処理部５０２１は、例えば、識別情報記憶部１１２からの端末識別情報及び識別情報記憶部４１からの（会員を識別するための）ＵＳＢメモリ識別情報きちサーバ５０２に送信されてきた場合に、会員情報記憶部５Ａに予め記憶されている対応する情報との照合を行って、両者の異同を判断するものである。認証処理部５０２１は、サーバ５０１を経由して送信されている認証要求を受信すると、前述の照合処理を実行し、一致すれば、認証成功を示す応答信号をサーバ５０１を経由して送信元の端末１に返送し、不一致であれば、認証失敗を示す応答信号をサーバ５０１を経由して送信元の端末１に返送するものである。
【００２９】
また、サーバ５０１は、アタックに曝されている状態を黙認するように、アタックに対して特別有効な対策を採用することなくして、あたかもアタックを当該サーバ５０１に引きつけるようにする一方、他の下位のサーバ５０１に対して端末１からの認証要求を受け付け易くするようにしてもよい。
【００３０】
なお、アタック中は、対応する上位のサーバ５０２は、回線遮断処理部５０２２の遮断処理によって、自己を保護するようにしている。回線遮断処理部５０２２は、所定期間毎に復帰し、異常が継続しているかどうかを判断し、異常状態にあれば、再び遮断処理が行われるようにすればよい。なお、回線遮断とは、ソフトウエア的、ハードウエア的に行う態様のいずれでもよい。例えばサーバ５０２は、対応するサーバ５０１側にファイヤウォールを介設し、アドレス（ＩＰアドレス）、プロトコル、ポート番号、コンテンツフィルタリング、及びこれらの組合せの少なくとも１つの設定により、当該サーバ５０１との通信を遮断する。
【００３１】
図６は、端末１のＣＰＵによって実行される認証要求処理の手順の一例を示すフローチャートである。まず、端末１は、ＵＳＢメモリ４がポートＰに差し込まれると、ＵＳＢメモリ４の装着を検出して認証要求指示の発行を行う（ステップＳ１）。認証要求指示が発せられると、端末１の接続先となるサーバ５０１の設定順を示すパラメータｉが、ｉ＝１に設定される（ステップＳ３）。次いで、認証要求を行うパケットのヘッダ領域に、ＵＳＢメモリ４の接続先リスト記憶部４３に記憶されている、接続先の順番を示すリストの１番目のアドレスが設定される（ステップＳ５）。そして、認証要求信号がアドレス設定されたサーバ５０１に出力される（ステップＳ７）。
【００３２】
次いで、内部タイマにより計時される所所定時間内に応答信号が返信されてきたか否かが判断される（ステップＳ９）。サーバ５０１は、アタック負荷が過大な状態にある場合、端末１からの認証要求に対する応答処理を行うことができないと考えられ、すなわち所定期間内に応答信号の作成もできず、返信する処理も不可となる。
【００３３】
応答信号が認証成功を示す信号であれば（ステップＳ１１）、この認証成功信号を受けて、サービス提供要求のための特定ＡＰによるファイルの作成が許可され、作成されたファイル（あるいは予め作成されていたファイル）は、サービス提供サーバ８に向けて、すなわち本実施形態では、サービス提供サーバ８を経由させるべく出力される（ステップＳ１３）。他の方法として、ファイルの送信は、サービス提供サーバ８と相手先端末１とにパラレルで行ってもよい。
【００３４】
一方、ステップＳ９で、所定時間内に応答信号が受信できなかった場合、応答なし回数をカウントアップすると共に、同一信号の再送が実行される（ステップＳ１５）。応答信号とは、サーバ５０１が認証要求に応答した場合に返信するであろう、例えば認証成功、認証失敗を示す信号である。この再送に対しても同様に所定時間内に応答信号が返信されてきたか否かが判断され（ステップＳ１７）、応答信号が受信できた場合には、ステップＳ１１に移行する。一方、所定期間内に応答信号が受信できなかった場合、再送回数カウンタがカウントアップされると共に再送動作が所定回数に達したか否かがカウント値から判断される（ステップＳ１９）。再送回数を示すカウント値が所定回数未満であれば、ステップＳ１５に戻り、再送動作が繰り返される。一方、再送回数を示すカウント値が所定回数に達すると、ｉ＝ｉ＋１によって接続先の変更処理が実行され（ステップＳ２１）、さらに、ｉ＝Ｉか否かが判断される（ステップＳ２３）。この場合、アタックが継続しており、当該サーバ５０１では接続が不可能と判断する。なお、パラメータＩは、接続先リストの個数であって予め設定されており、例えば、サーバ５０１の変更を４台まで許容する態様では、Ｉ＝５となる。あるいは、全てのサーバ５０１が接続先リストに設定される態様でもよい。接続先順は、接続先リスト記憶部４３に登録する際に、図外の登録用処理器（すなわち会員登録時に、各会員に付与されるＵＳＢメモリ４に所要の情報を登録するための機器）のコンピュータが無作為に設定するものでもよい。
【００３５】
そして、ｉ＜Ｉであれば、ステップＳ５に戻って、次のサーバ５０１に切り替わって同様な認証要求処理が繰り返される。一方、ｉ＝Ｉであると、認証要求のための受付自体が不可であったとして、本フローを終了する。
【００３６】
なお、ステップＳ１１で、認証成功を示す信号でない場合、すなわち認証失敗を示す信号である場合、例えば表示部１４に対して、認証要求のための再設定の指示が報知される（ステップＳ２５）。例えば、ＵＳＢメモリ４のポートＰへの差し直し等の指示である。
【００３７】
なお、端末１は、サーバ５０１の変更を行う条件として、アタックによって認証要求に対する応答信号が返信できない程度に過負荷状態となった場合を提示したが、以下のようにしてもよい。すなわち、サーバ５０１が過負荷の状態に、例えばトラフィック、アタック数、アタック頻度等の１つ又は複数の諸情報を計測し、計測結果から、現状では端末１からの認証要求に応えられないと（対象となる要素の所定の閾値と比較するなどして）判断した場合に、応答不可の信号を端末１に発する態様としてもよい。この場合、端末１は、応答不可の信号を受けると、ステップＳ１５のような所定回の再送判断手順を設けることなく、直ちに、次の接続先に切り替えるようにすればよい。
【００３８】
図７は、ネットワーク上でのシステム化された認証サーバの配置の他の実施形態を示す図である。各層のサーバ５は、基本的には同一構成を有する。システム化された認証サーバ５は、ツリー状をなし、ネットワーク７に直接接続された下位となる１層目のサーバ５１１と、上位となる、２層目のサーバ５１２及び３層目のサーバ５１３とからなる。この例では、サーバ５１１が４台で、サーバ５１２が２台で、サーバ５１３が１台である、最もシンプルな階層構造であるが、かかる構成に限定されず、１層目のサーバ５１１の台数は所望台数が設定可能である。また、上位の１台に対して下位の２台を割り当てる場合の他、下位の３台あるいはそれ以上の台数を割り当てるようにしてもよい。さらに、階層は３段の他、４段又はそれ以上の所定段数でもよく、あるいは２段でもよい。
【００３９】
第１実施形態と同様、端末１からのアクセスは、１層目のサーバ５１１のいずれかに対して行われ、２層目、３層目に直接アクセスできない構造としている。これは、例えば、１層目のサーバ５１１にはそれぞれグローバルＩＰアドレスによってネットワーク７を介して端末１から指定可能にしている。一方、上位である２層目以上のサーバ５１２，５１３にはＭＡＣアドレスによってサーバ５１１のみと接続可能にされている。この結果、ネットワーク７から直接、上位のサーバ５１２，５１３がアタックされないようにしている。
【００４０】
会員の端末１がいずれのサーバ５１１と接続されるかは、第１実施形態の場合と同様に各サーバ５１１へのトラフィックのバランスを考慮しつつ、ＵＳＢメモリ４との組合せ毎に、接続先リスト記憶部４３によって予め優先順位として設定されている。この場合に、接続先リストの優先順位１番のグローバルＩＰアドレスを設定しておき、それ以降は、必要に応じて優先順位に順次従ったサーバ５１１のグローバルＩＰアドレスが設定されるようにしておけばよい。このように、下位に多数のサーバ５１１を採用してサーバ群とすることで、耐アタック性の向上、すなわちアタックに対する負荷分散を図ることができる。ＵＳＢメモリ４の接続先リスト記憶部４３に１番目の接続先として設定された下位のサーバ５１１及び対応する上位のサーバ５１２，５１３に、当該ＵＳＢメモリ４に対応する会員の情報が記憶された記憶部が備えられている。すなわち、この実施形態では、第１実施形態の場合と異なり、会員情報記憶部５ＡはＵＳＢメモリ４との関係で分散された態様である。
【００４１】
下位である１層目のサーバ５１１は、それぞれＣＰＵを備え、第１実施形態におけるサーバ５０１、及び認証処理が可能な、第１実施形態におけるサーバ５０２の認証処理部５０２１に対応する構成、さらに、図９に示すようなサーバ間の情報授受を行う処理部を有する。上位である２層目、３層目のサーバ５１２，５１３は、それぞれＣＰＵを有し、データ更新用としての機能を実現可能にされている。
【００４２】
図８は、図７に示すシステム化された認証サーバに対して、端末１のＣＰＵによって実行される認証サーバ決定処理の手順の一例を示すフローチャートである。端末にＵＳＢメモリ４が装着されると、認証処理が開始される。まず、優先順位を表すｉが、ｉ＝１に設定される（ステップＳ３１）。次いで、優先順位ｉのサーバ５１１へアクセスが行われ（ステップＳ３３）、優先順位ｉのサーバ５１１が対応可能か否かの判断が行われる（ステップＳ３５）。具体的には、サーバ５１１に認証のための認証要求信号の送信を行って、当該サーバ５１１が認証処理の担当が可能かどうかの対応（対応可否の返信信号）を待つ。対応可能であれば（ステップＳ３５でＹＥＳ）、端末１から、認証のための所要の各信号が当該サーバ５１１に送信される（ステップＳ３７）。なお、一定期間、応答信号が受信できない場合も、応答不可として扱う。
【００４３】
一方、ステップＳ３５で、対応不可の旨の返信信号が返信されてくると、優先順位ｉが１だけインクリメントされ（ステップＳ３９）、優先順位ｉが最大数Ｉを超えないことを条件に（ステップＳ４１でＮＯ）、次の優先順位のサーバ５１１に認証要求信号が送信され、このようにして、優先順位に従って順次認証要求を試みる。なお、１層目の全てのサーバ５１１で対応不可であった場合には（ステップＳ４１でＹＥＳ）、本フローを終了する。
【００４４】
図９は、図７に示す１層目のサーバ５１１のＣＰＵによって実行されるサーバ間情報授受の手順の一例を示すフローチャートである。１層目のサーバ５１１であって、アクセス元の端末１からの認証要求信号に対して対応可能との返信信号を返信したサーバ５１１は、ＵＳＢメモリ４の優先順位ｉ＝１に対応するサーバか否かが判断される（ステップ＃１）。優先順位ｉ＝１に対応するサーバであれば、前述した認証処理が実行され（ステップ＃３）、認証処理後に、当該サーバ５１１、及び対応する上位（２層目のサーバ５１２、最上位のサーバ５１３）の情報を更新するための情報の送信が行われる（ステップ＃５）。更新情報としては、例えば認証履歴等である。
【００４５】
一方、ステップ＃１で、対応可能との返信信号を返信したサーバ５１１が、ＵＳＢメモリ４における優先順位ｉ＝１でなかった場合、対応する上位のサーバ５１２に、アクセス会員の、すなわち当該ＵＳＢメモリ４の識別情報が有るか否かが判断される（ステップ＃７）。なお、認証要求信号には、ＵＳＢメモリ４から各種の識別情報等がサーバ５１１に送信されているとする。
【００４６】
この上位のサーバ５１２に当該ＵＳＢメモリ４の情報が有れば、当該上位のサーバ５１２に対して、当該ＵＳＢメモリ４の識別情報を要求する処理が行われる（ステップ＃９）。この情報要求によって、アクセス先のサーバ５１１で認証処理が実行可能となる（ステップ＃３）。認証処理後は、優先順位ｉ＝１のサーバ５１１および対応するサーバ５１２，５１３に対して情報の更新処理が実行される（ステップ＃５）。
【００４７】
一方、ステップ＃７で、対応する上位のサーバ５１２にＵＳＢメモリ４の識別情報がなければ、最上位のサーバ５１３に対して、ＵＳＢメモリ４の識別情報を要求する処理が行われる（ステップ＃１１）。この情報要求によって、アクセス先のサーバ５１１で認証処理が実行可能となる（ステップ＃３）。認証処理後は、優先順位ｉ＝１のサーバ５１１及び対応するサーバ５１２，５１３に対して情報の更新処理が実行される（ステップ＃５５）。かかる更新処理によって、ＵＳＢメモリ４がいずれの端末１に装着されても効率的に対応することができる。
【００４８】
なお、本発明は、以下の態様が採用可能である。
【００４９】
（１）端末１は、パーソナルコンピュータの他、携行型のモバイル機器であってもよい。モバイル機器の場合、ＵＳＢメモリ４等の記憶媒体が装着脱可能な構成とされる。
【００５０】
（２）本実施形態では、不正なアタックを受けている状態にあっても、端末１を用いてＵＳＢメモリ４の認証等を適正に行うようにした態様で説明したが、この発明は、認証処理に限定されず、他の処理（例えば、単に接続であってもよい。）の実行にも適用可能である。
【００５１】
（３）本実施形態では、端末１の通信処理部３０２が、認証成功後の認証サーバ５、サービス提供サーバ８、履歴記憶部９や他の端末１との間で特定ＡＰの通信機能を用いて通信を行うとして説明したが、これに代えてＵＳＢメモリ４にＮＩＣ（NetworkInterface Card）等を内装し、このＮＩＣ等を介して上述の通信処理を実行する態様としてもよい。
【００５２】
（４）本実施形態では、サービス提供サーバ８をネットワーク７に接続する一般的な態様としたが、これに代えて、サービス提供サーバ８を認証サーバ５を介してネットワーク７に接続し、認証成功を条件に認証サーバ５が端末１からの送信内容をサービス提供サーバ８に伝送し、またサービス内容を返送する態様としてもよい。また、この場合、サービス提供毎に認証処理が要求されるようにしてもよい。
【００５３】
以上のとおり、本発明に係るネットワーク通信システムは、ネットワークに接続されたサーバシステムと、前記ネットワークに接続され、前記サーバシステムに対して所定の接続権限が付与された端末とを備えたネットワーク通信システムにおいて、前記サーバシステムは、それぞれ異なるＩＰアドレスが設定され、前記端末１からの認証要求を受けて所定の接続処理を実行する複数台のサーバを備え、前記端末は、前記サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部と、前記サーバに対する接続要求時に当該サーバにトラフィック異常が生じているか否かを判断する異常判定手段と、前記トラフィック異常が生じていると判断した場合、前記接続順に従って次のサーバへ接続を変更する優先順位設定手段とを備えてなることを特徴とするものである。この構成によれば、サーバがネットワークを介して不正なアタック、例えばＤＯＳやＤＤＯＳを受けて、異常なトラフィック状態にあると判断されると、認証先のサーバを当該サーバから予め設定された接続順に従って他のサーバに順番に切り替えられるので、適正な接続が、主には認証が可及的に可能となる。すなわち、サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、正規利用者によるサーバの利用確保を可及的に実現する。
【００５４】
また、本発明に係るネットワーク通信システムにおいて、前記複数台のサーバは、前記ネットワークに接続された複数台の下位サーバと、前記下位サーバを介して前記ネットワークに接続された少なくとも１台以上の上位サーバとを備え、前記下位サーバは、前記端末からの認証要求を受けて、前記上位サーバとの間の情報の授受を中継する中継手段を備え、前記接続先リスト記憶部は、前記下位サーバとの間の、予め設定された優先的な接続順の情報が記憶されたものであり、前記異常判定手段は、前記下位サーバに対する認証要求時に当該下位サーバにトラフィック異常が生じているか否かを判断するものであり、前記優先順位設定手段は、前記トラフィック異常が生じていると判断した場合、前記優先順位に従って次の下位サーバへ接続を変更するものであることが好ましい。この構成によれば、下位サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、他の下位サーバを介して上位サーバによる認証処理が可及的に実行される。
【００５５】
また、本発明に係るネットワーク通信システムにおいて、前記上位サーバは、少なくとも複数台であり、前記各上位サーバは、複数台ずつに区分けされた下位サーバ群の１つに接続されていることが好ましい。この構成によれば、上位サーバに対して下位サーバを相対的に多数設けることができるので、アタックに対する負荷分散が好適に図れる。
【００５６】
また、本発明に係るネットワーク通信システムにおいて、前記異常判定手段は、前記認証要求に対する応答信号が所定時間受信されない場合、トラフィック異常と判定することが好ましい。この構成によれば、トラフィック異常により、サーバが過負荷状態になって応答信号が作成できない場合でも、異常の判断が可能となる。
【００５７】
また、本発明に係るネットワーク通信システムにおいて、前記下位サーバは、トラフィック異常を検知すると、トラフィック異常を示す報知信号を前記認証要求に対して応答する異常報知手段を備え、前記異常判定手段は、前記トラフィック異常を示す報知信号を受信した場合、トラフィック異常と判定することが好ましい。この構成によれば、下位サーバはトラフィック異常を検知すると異常報知信号を端末側に応答、すなわち返信するので、端末側でトラフィック異常の判断が確実となる。
【００５８】
また、本発明に係るネットワーク通信システムにおいて、前記上位サーバは、接続されている下位サーバに前記トラフィック異常が発生した場合、当該下位サーバとの間の回線を遮断する回線遮断手段を備えることが好ましい。この構成によれば、回線を遮断することで、上位サーバの保護が図れる。
【００５９】
また、本発明に係るネットワーク通信システムにおいて、前記端末は、所有者の情報が記憶されている外部記憶媒体が装着されると、前記外部記憶媒体に対する認証要球を発する認証要求処理手段を備えることが好ましい。この構成によれば、外部記憶媒体が端末に装着される毎に当該記憶媒体の認証が行われる。従って、正規の外部記憶媒体が装着される場合にのみ、端末１を介しての処理、例えば証明書の発行要求とか電子商取引処理が可能となる。
【００６０】
また、本発明に係る端末は、ネットワークに接続された複数台のサーバのそれぞれと通信可能な、所定の接続権限が付与された端末において、前記サーバとの間の、予め設定された優先的な接続順の情報が記憶された接続先リスト記憶部と、前記サーバに対する接続要求時に当該サーバにトラフィック異常が生じているか否かを判断する異常判定手段と、前記トラフィック異常が生じていると判断した場合、前記接続順に従って次のサーバへ接続を変更する優先順位設定手段とを備えてなることが好ましい。この構成によれば、サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、正規利用者によるサーバの利用確保が可及的に実現する。
【００６１】
また、本発明に係る端末において、所有者の情報が記憶されている外部記憶媒体が装着されると、前記外部記憶媒体に対する認証要球を発する認証要求処理手段を備えることが好ましい。この構成によれば、正規の外部記憶媒体が装着される場合にのみ、端末１を介しての処理、例えば証明書の発行要求とか電子商取引処理が可能となる。
【００６２】
また、本発明に係るサーバシステムは、ネットワークに接続され、前記ネットワークを介して、所定の接続権限が付与された端末と通信可能なサーバシステムにおいて、前記ネットワークに接続された複数台の下位サーバと、前記下位サーバを介して前記ネットワークに接続された少なくとも１台以上の上位サーバとを備え、前記下位サーバは、前記端末からの接続要求を受けて、前記上位サーバとの間の情報の授受を中継する中継手段を備えることが好ましい。この構成によれば、下位サーバがＤＯＳ／ＤＤＯＳ攻撃を受けている間も、他の下位サーバを介して上位サーバによる認証処理が可及的に実現される。
【符号の説明】
【００６３】
１  端末
１０  制御部
２  端末処理部
２０１  汎用ＡＰ実行処理部
２０２  認証要求処理部（認証要求処理手段）
２０３  優先順位設定部（優先順位設定手段）
２０４  異常判定部（異常判定手段）
３  特定ＡＰ処理部
３０１  特定ＡＰ実行処理部
４  ＵＳＢメモリ（外部記録媒体）
４１  識別情報記憶部
４２  特定ＡＰ記憶部
４３  接続先リスト記憶部
５  認証サーバ（サーバシステム）
５Ａ  会員情報記憶部
５０１，５１１  下位のサーバ
５０２，５１２，５１３  上位のサーバ
５０１１  受付処理部（中継手段）
５０１２  異常処理部（異常報知手段）
５０２１  認証処理部
５０２２  回線遮断処理部（回線遮断手段）
７  ネットワーク
８  サービス提供サーバ
９  履歴記憶部
【図１】
2011048933.tif 000003
【図２】
2011048933.tif 000004
【図３】
2011048933.tif 000005
【図４】
2011048933.tif 000006
【図５】
2011048933.tif 000007
【図６】
2011048933.tif 000008
【図７】
2011048933.tif 000009
【図８】
2011048933.tif 000010
【図９】
2011048933.tif 000011
【国際調査報告】
2011048933.tif 000012
2011048933.tif 000013
2011048933.tif 000014
2011048933.tif 000015
2011048933.tif 000016
2011048933.tif 000017